Procedura zgłoszeń wewnętrznych musi określać:

• wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego lub podmiot zewnętrzny upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych;
• sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej,
• bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej; funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba z pkt 1, jeżeli zapewniają one bezstronność;
• tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;
• obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w ciągu 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie;
• obowiązek podjęcia z zachowaniem należytej staranności działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę określoną w pkt 3,
• maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia wewnętrznego lub – w razie nieprzekazania potwierdzenia – 3 miesięcy od upływu 7 dni od dnia dokonania zgłoszenia wewnętrznego, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać informację zwrotną;
• zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz – w stosownych przypadkach – do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.

Ponadto w procedurze zgłoszeń wewnętrznych można określić:

• naruszenia dotyczące obowiązujących w podmiocie prawnym regulacji wewnętrznych lub standardów etycznych, które zostały ustanowione przez ten podmiot na podstawie przepisów prawa powszechnie obowiązującego i pozostają z nimi zgodne, jeżeli podmiot przewidział możliwość zgłaszania takich naruszeń;
• czynniki ryzyka odpowiadające profilowi działalności podmiotu prawnego, sprzyjające możliwości wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych określonych w przepisach prawa lub z ryzykiem korupcji;
• możliwość zgłaszania informacji o naruszeniu prawa w każdym przypadku również do Rzecznika Praw Obywatelskich albo organu publicznego, z pominięciem procedury zgłoszeń wewnętrznych;
• system zachęt do korzystania z procedury zgłoszeń wewnętrznych, gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych.